Polityka prywatności ZENtripo.pl

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest ATENTA Spółka z ograniczoną odpowiedzialnością z siedzibą pod adresem ul. Juliusza Słowackiego 7a, 05-816 Michałowice, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000993214, NIP 5342655474 — operator serwisu ZENtripo.pl.

We wszelkich sprawach dotyczących ochrony danych osobowych możesz napisać na:prywatnosc@zentripo.pl.

Dane przetwarzamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz polską ustawą o ochronie danych osobowych.

2. Jakie dane zbieramy

W zależności od sposobu korzystania z Serwisu zbieramy następujące kategorie danych:

Dane rejestracyjne

imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego), opcjonalnie numer telefonu i adres strony internetowej

Profil organizatora

nazwa marki, rodzaj działalności, bio, avatar, linki do stron zewnętrznych (www, Instagram, Facebook)

Dane wyjazdów

tytuł, opis, program, terminy, lokalizacja, ceny, zdjęcia — wprowadzane przez organizatorów i widoczne publicznie po akceptacji

Wiadomości i zapytania

treść zapytań o wyjazdy oraz odpowiedzi organizatorów — wymieniane przez wbudowany system wiadomości

Dane rozliczeniowe

rodzaj kontrahenta, NIP lub numer podatkowy, nazwa firmy, adres — podawane przed zakupem usługi płatnej (dodatkowe ogłoszenie, promowanie) i potrzebne do wystawienia dokumentu księgowego

Dane zamówień

rodzaj i cena zamówionej usługi, użyty kod rabatowy, status i data płatności, identyfikator zamówienia w systemie operatora płatności

Zapisy na newsletter

adres e-mail i imię podane w formularzu zapisu wraz z potwierdzeniem zgody (zapis wymaga kliknięcia w link w wiadomości potwierdzającej)

Dane techniczne

adres IP, typ przeglądarki, system operacyjny, data i godzina odwiedzin, odwiedzone podstrony

Statystyka własna

odsłony podstron i kliknięcia w udostępnianie — zapisywane bez plików cookies i bez adresu IP (szczegółowy opis w sekcji 9 poniżej)

Pliki cookies

szczegółowy opis w sekcji 8 poniżej

3. Cele i podstawy prawne przetwarzania

Twoje dane przetwarzamy w następujących celach:

1. Obsługa konta i świadczenie usług — rejestracja, logowanie, zarządzanie profilem, korzystanie z katalogu wyjazdów.
   Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
2. Publikacja i weryfikacja wyjazdów — przechowywanie treści dodanych przez organizatorów, proces moderacji przez administratora serwisu.
   Podstawa: art. 6 ust. 1 lit. b RODO.
3. Komunikacja między użytkownikami — przesyłanie zapytań o wyjazdy i odpowiedzi organizatorów przez wbudowany system wiadomości.
   Podstawa: art. 6 ust. 1 lit. b RODO.
4. Powiadomienia e-mail — informacje o nowych wiadomościach, statusie wyjazdu (zatwierdzenie/odrzucenie), potwierdzeniach operacji na koncie.
   Podstawa: art. 6 ust. 1 lit. b RODO.
5. Obsługa usług płatnych — przyjęcie zamówienia na dodatkowe ogłoszenie lub promowanie, rozliczenie kodu rabatowego, realizacja płatności.
   Podstawa: art. 6 ust. 1 lit. b RODO.
6. Obowiązki księgowe i podatkowe — wystawianie i przechowywanie dokumentów sprzedaży.
   Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny).
7. Bezpieczeństwo i zapobieganie nadużyciom — analiza logów, wykrywanie podejrzanej aktywności, ochrona kont użytkowników.
   Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
8. Statystyka oglądalności — zliczanie odsłon stron oraz kliknięć w udostępnianie, abyśmy wiedzieli, które wyjazdy są oglądane i udostępniane, i mogli pokazywać te liczby organizatorom oraz administratorowi Serwisu.
   Podstawa: art. 6 ust. 1 lit. f RODO (mierzenie popularności treści w Serwisie).
9. Analityka i marketing w narzędziach zewnętrznych — Google Tag Manager wraz z połączonymi z nim narzędziami Google, uruchamiane dopiero po wyrażeniu zgody w banerze.
   Podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
10. Newsletter — wysyłka informacji o nowościach na podany adres, po potwierdzeniu zapisu linkiem z wiadomości.
    Podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
11. Dochodzenie i obrona roszczeń — przechowywanie danych niezbędnych do wykazania przebiegu współpracy.
    Podstawa: art. 6 ust. 1 lit. f RODO.

4. Okres przechowywania danych

Dane konta

przez czas istnienia konta; po jego usunięciu dane osobowe są nadpisywane — szczegóły w sekcji 10

Treść wyjazdów i profil

przez czas aktywności konta organizatora

Wiadomości i zapytania

przez czas istnienia konta; po usunięciu konta treść zostaje w skrzynce drugiej strony rozmowy, bez danych identyfikujących usunięte konto

Dane rozliczeniowe i dokumenty księgowe

5 lat od końca roku podatkowego, którego dotyczą

Dane zamówień

przez okres przedawnienia roszczeń, nie dłużej niż 6 lat

Dane techniczne (logi)

do 12 miesięcy

Statystyka własna — pojedyncze zdarzenia

180 dni

Statystyka własna — liczniki zbiorcze

bezterminowo (wyłącznie sumy dzienne, bez identyfikatorów)

Zapisy na newsletter

do cofnięcia zgody lub na Twoje żądanie usunięcia

5. Odbiorcy danych

Twoje dane udostępniamy wyłącznie w niezbędnym zakresie:

• Replit (Replit, Inc.) — platforma hostingowa, baza danych i magazyn plików (zdjęcia wyjazdów i profilowe).
• Resend (Resend, Inc.) — dostawca wysyłki e-maili transakcyjnych i newslettera; przekazujemy adres e-mail oraz imię potrzebne do dostarczenia i personalizacji wiadomości.
• PayU S.A. — operator płatności za usługi płatne; przekazujemy adres e-mail, imię i nazwisko kupującego, kwotę oraz adres IP, z którego składane jest zamówienie. PayU jest odrębnym administratorem tych danych w zakresie obsługi transakcji.
• Google Ireland Limited — Google Tag Manager i połączone narzędzia analityczno-marketingowe. Skrypt ładuje się na każdej stronie, ale do czasu wyrażenia zgody działa w trybie ograniczonym (Google Consent Mode v2): nie zapisuje cookies i nie tworzy identyfikatorów. Po zgodzie mogą trafiać do Google dane o Twojej wizycie wraz z adresem IP.
• Meta Platforms Ireland — wyłącznie w artykułach bloga zawierających osadzone posty z Instagrama. Osadzenie ładuje się dopiero po wyrażeniu zgody marketingowej; przed nią w miejscu posta widnieje zastępczy komunikat, a żadne dane nie są wysyłane.
• Biuro rachunkowe — w zakresie dokumentów sprzedaży, jeżeli Operator korzysta z obsługi księgowej.
• Inni użytkownicy Serwisu — Twój profil publiczny (nazwa, bio, zdjęcie, prowadzone wyjazdy) jest widoczny dla wszystkich odwiedzających. W rozmowie druga strona widzi Twoje imię, nazwisko i adres e-mail wraz z treścią wiadomości.
• Organy państwowe — wyłącznie gdy jest to wymagane przepisami prawa (sądy, policja, organy podatkowe).

Nie sprzedajemy Twoich danych osobowych.

6. Przekazywanie danych poza EOG

Część naszych dostawców (Replit, Resend, Google, Meta) może przetwarzać dane na serwerach poza Europejskim Obszarem Gospodarczym, przede wszystkim w USA. Współpracujemy wyłącznie z podmiotami, które zapewniają odpowiedni poziom ochrony danych — na podstawie decyzji Komisji Europejskiej o adekwatności (EU–US Data Privacy Framework) lub standardowych klauzul umownych.

7. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

• Dostęp — możesz w każdej chwili zażądać informacji o tym, jakie dane przechowujemy.
• Sprostowanie — możesz poprawić niekompletne lub nieprawidłowe dane bezpośrednio w ustawieniach konta lub przez kontakt z nami.
• Usunięcie — możesz usunąć konto samodzielnie w panelu; zakres i skutki opisuje sekcja 10.
• Ograniczenie przetwarzania — możesz zażądać czasowego wstrzymania przetwarzania Twoich danych.
• Przenoszenie danych — możesz otrzymać swoje dane w ustrukturyzowanym formacie.
• Sprzeciw — możesz sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie, w tym statystyce własnej.
• Cofnięcie zgody — zgodę na cookies analityczne i marketingowe cofniesz przyciskiem „Ustawienia cookies" w stopce, a zgodę na newsletter — linkiem w każdej wiadomości. Cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.
• Skarga — masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

W celu skorzystania z powyższych praw napisz na: prywatnosc@zentripo.pl. Odpowiemy w ciągu 30 dni.

8. Pliki cookies i Local Storage

Przy pierwszej wizycie wyświetlamy baner z wyborem zgody. Twój wybór zapisujemy w pamięci przeglądarki (Local Storage) pod kluczem mnw_cookie_consent — sam baner nie zapisuje żadnych cookies.

Niezbędne

zapewniają działanie Serwisu: cookie sesji logowania sid (ważne 7 dni, wyłącznie techniczne) oraz zapamiętany wybór w banerze. Nie wymagają zgody.

Analityczne

Google Tag Manager i połączone narzędzia Google — pomiar ruchu i sposobu korzystania z Serwisu. Wymagają Twojej zgody.

Marketingowe

personalizacja treści i reklam w narzędziach Google oraz osadzenia postów z Instagrama w artykułach bloga. Wymagają Twojej zgody.

Do czasu wyrażenia zgody narzędzia Google działają w trybie ograniczonym (Consent Mode v2) — nie zapisują cookies ani identyfikatorów. Możesz w każdej chwili zmienić swoje preferencje, klikając „Ustawienia cookies" w stopce strony, a także zarządzać plikami cookies z poziomu ustawień przeglądarki.

9. Statystyka własna (bez cookies)

Poza narzędziami zewnętrznymi prowadzimy własny licznik odsłon i udostępnień. Zapisujemy w nim: adres odwiedzonej podstrony, informację, którego wyjazdu, organizatora lub obiektu dotyczyła, datę i godzinę, a przy udostępnianiu — rodzaj akcji (otwarcie okna udostępniania, skopiowanie linku, wybór sieci społecznościowej wraz z jej nazwą).

Licznik nie zapisuje w Twojej przeglądarce żadnego pliku cookie ani identyfikatora i nie zależy od zgody wyrażonej w banerze — działa również wtedy, gdy odmówisz zgód analitycznych i marketingowych.

Nie zapisujemy Twojego adresu IP. Aby odróżnić dwie osoby od jednej osoby odświeżającej stronę, zapisujemy nieodwracalny skrót (SHA-256) wyliczony z adresu IP, przeglądarki i losowego ciągu zmienianego codziennie. Skrótu nie da się zamienić z powrotem na adres IP, a po zmianie dziennego ciągu wpisów z dwóch różnych dni nie da się ze sobą powiązać — dlatego zebrane liczby są statystyką, a nie profilowaniem ani śledzeniem.

Pojedyncze zdarzenia usuwamy po 180 dniach. Zostają po nich wyłącznie dzienne sumy (ile odsłon i ilu unikalnych odwiedzających danego dnia), które przechowujemy bezterminowo i które nie zawierają żadnych identyfikatorów.

Przetwarzanie opiera się na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), wobec którego możesz wnieść sprzeciw — zob. sekcja 7. Zdarzenia wysyła skrypt strony, więc licznik możesz też zablokować, wyłączając JavaScript lub korzystając z blokera skryptów.

10. Usunięcie konta a Twoje dane

Konto usuwasz samodzielnie w panelu, potwierdzając operację hasłem. Konta z przypisanymi wyjazdami lub obiektami trzeba najpierw zamknąć — publiczne ogłoszenia nie mogą zostać bez opiekuna.

Po usunięciu nadpisujemy dane osobowe przypisane do konta: adres e-mail zastępujemy adresem technicznym, imię i nazwisko — oznaczeniem konta usuniętego, a numer telefonu i avatar kasujemy. Hasło zastępujemy losowym ciągiem, więc konta nie da się odzyskać ani zalogować się na nie ponownie. Kasujemy też ulubione, aktywne sesje i żądania zmiany hasła.

Sam wiersz konta pozostaje w bazie w formie pozbawionej danych osobowych — bez tego z systemu zniknęłyby rozmowy prowadzone z Twoim udziałem, a są one również korespondencją drugiej strony. Z tego samego powodu w skrzynce rozmówcy zostaje treść wymienionych wiadomości.

Niezależnie od usunięcia konta przechowujemy dokumenty księgowe dotyczące zakupionych usług płatnych przez okres wymagany przepisami podatkowymi (sekcja 4).

11. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowanie połączeń (HTTPS), przechowywanie haseł wyłącznie w postaci skrótu z funkcją odporną na łamanie, ograniczenie dostępu do danych po stronie Operatora, ograniczenia liczby prób logowania oraz kontrolę typów przesyłanych plików.